GnuPG实战指南：从密钥管理到安全通信的全流程解析

1. GnuPG入门：从安装到密钥生成

第一次接触GnuPG时，我完全被那些命令行参数搞懵了。直到有一次需要给客户发送敏感文件，才发现这个开源工具简直是安全通信的瑞士军刀。GnuPG（GNU Privacy Guard）是PGP加密标准的开源实现，它能帮你完成文件加密、数字签名等安全操作，而且完全免费。

在Mac上安装GnuPG最简单的方式是使用Homebrew：

brew install gnupg

Linux用户则可以用apt-get：

sudo apt-get install gnupg

安装完成后，建议先运行gpg --version检查是否安装成功。这个命令会显示版本信息和支持的加密算法，我第一次运行时看到满屏的算法列表，才意识到原来有这么多加密方式可选。

生成密钥是使用GnuPG的第一步，这里我强烈推荐使用完整模式：

gpg --full-generate-key

系统会引导你完成以下设置：

1. 密钥类型（默认RSA就很好）
2. 密钥长度（3072位足够安全）
3. 过期时间（建议设置1-2年）
4. 用户信息（姓名和邮箱要真实）

记得我第一次生成密钥时，在设置密码环节栽了跟头。GnuPG会弹出一个密码输入窗口（在Mac上是Pinentry），这个密码千万不能忘！我有次重装系统后，因为忘记密码导致所有加密文件都无法解密，血的教训啊。

2. 密钥管理实战技巧

2.1 查看和管理密钥

生成密钥后，我习惯先用这两个命令检查密钥环：

gpg --list-keys # 查看公钥 gpg --list-secret-keys # 查看私钥

输出看起来可能有点复杂，但主要关注这几个部分：

• pub：公钥信息
• sub：子密钥
• uid：用户标识
• 那串40位的字符是密钥指纹，相当于密钥的身份证号

2.2 密钥的备份与共享

有次我的硬盘突然损坏，幸亏提前备份了密钥。导出密钥的命令是：

gpg --armor --export [密钥ID] > public.key # 导出公钥 gpg --armor --export-secret-keys [密钥ID] > private.key # 导出私钥

导入别人的公钥也很简单：

gpg --import colleague.key

这里有个实用技巧：导入密钥后最好先签名验证：

gpg --sign-key [对方密钥ID]

这样能建立信任链，避免中间人攻击。

2.3 密钥的撤销与更新

密钥万一泄露怎么办？GnuPG允许生成撤销证书：

gpg --gen-revoke [你的密钥ID] > revoke.asc

我习惯把撤销证书打印出来锁在保险柜，数字世界也需要物理备份。更新过期密钥可以用：

gpg --quick-set-expire [密钥ID] 1y

3. 文件加密解密全攻略

3.1 基础加密操作

加密文件其实很简单，我常用的命令格式是：

gpg --encrypt --recipient [接收者邮箱] --output 加密文件 原始文件

比如要给同事Alice发送机密文档：

gpg -e -r alice@company.com -o proposal.pdf.gpg proposal.pdf

解密更简单，直接：

gpg 加密文件.gpg

系统会自动识别该用哪个私钥解密。

3.2 对称加密技巧

有时候不需要非对称加密，GnuPG也支持对称加密（只用密码）：

gpg -c secret.txt

会提示输入密码，解密时同样需要这个密码。

3.3 批量加密实践

我有次需要加密整个项目目录，用这个shell脚本搞定：

find ./project -type f -exec gpg -e -r team@company.com {} \;

4. 数字签名与验证

4.1 三种签名方式

GnuPG提供三种签名模式，我根据场景灵活选择：

1. 普通签名（生成二进制.gpg文件）

   gpg -s contract.docx

2. 明文签名（生成可读的.asc文件）

   gpg --clearsign README.md

3. 分离签名（适合大文件）

   gpg --detach-sign video.mp4

4.2 签名验证实战

验证签名用这个命令：

gpg --verify signature.sig original_file

有次收到供应商发来的报价单，验证签名时发现不匹配，后来发现是对方密钥被篡改了，幸亏GnuPG帮我发现了这个安全问题。

4.3 加密+签名组合拳

最安全的做法是既加密又签名：

gpg -e -s -r recipient@domain.com -u your@email.com file.txt

这个命令同时完成了：

• 用接收者的公钥加密
• 用自己的私钥签名

5. 高级应用场景

5.1 配置文件优化

在~/.gnupg/gpg.conf中添加这些配置能提升体验：

personal-cipher-preferences AES256 personal-digest-preferences SHA512 default-key YOUR_KEY_ID

5.2 密钥服务器使用

发布公钥到keyserver：

gpg --send-keys [密钥ID]

查找他人公钥：

gpg --search-keys "Alice"

5.3 自动化脚本集成

我在CI/CD流程中用GnuPG自动签名发布包：

#!/bin/bash gpg --batch --pinentry-mode loopback --passphrase "$GPG_PASS" \ --output build.sig --detach-sign build.tar

6. 安全最佳实践

1. 主密钥最好离线保存，日常使用子密钥
2. 定期更换子密钥（每年一次）
3. 不要在多个设备使用同一私钥
4. 智能卡或YubiKey存储密钥更安全
5. 备份时使用纸质密钥（paperkey工具）

记得有次出差急需解密文件，幸亏提前把子密钥导入到了手机上的OpenKeychain应用。GnuPG的灵活组合能适应各种复杂场景，关键是理解其工作原理。刚开始可能会觉得复杂，但就像学骑自行车，一旦掌握就再也忘不掉了。